Datenschutzerklärung

Diese Erklärung beschreibt die Verarbeitung personenbezogener Daten auf:

• app.ensregina.de — Dashboard, Login, Kundenbereich (Hosting: Vercel)
• ensregina.de — Landingpage, Funnel, Opt-in- und Danke-Seiten (Hosting: Netlify)

Regina Ens

Arminiusstraße 42

07548 Gera, Deutschland

Telefon: 0163 3091859

E-Mail: realrise@ensregina.de

3.1 Registrierung und Login (Magic Link)

Für den Zugang zum Dashboard verwenden wir ein passwortloses Verfahren (Magic Link). Dazu gibst du deine E-Mail-Adresse ein; wir senden dir daraufhin einen zeitlich begrenzten Anmeldelink zu. Verarbeitet werden: E-Mail-Adresse, IP-Adresse des Absende-Vorgangs, Zeitpunkt der Anfrage. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

3.2 Login über Google (OAuth)

Alternativ kannst du dich mit deinem Google-Konto einloggen. Dabei wirst du an Google weitergeleitet; nach deiner Zustimmung bei Google übermittelt Google an uns: deine Google-E-Mail-Adresse, ggf. deinen Namen und dein Profilbild (sofern bei Google hinterlegt). Diese Daten werden ausschließlich zur Identifikation und für den Dashboard-Zugang verwendet. Die technische Abwicklung erfolgt über unseren Authentifizierungsdienstleister Supabase. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Es gelten zusätzlich die Datenschutzbestimmungen von Google. Google LLC hat seinen Sitz in den USA; eine Übermittlung in die USA kann stattfinden (siehe Abschnitt 9).

3.3 Nutzung des Dashboards

Im Rahmen der regulären Dashboard-Nutzung verarbeiten wir:

• E-Mail-Adresse als Konto-Identifikator
• Von dir eingegebene Account-Namen auf Instagram, TikTok, YouTube, LinkedIn und Facebook (zur Analyse)
• Von dir gespeicherte Hooks, Captions und KI-Generierungen
• Dein Profilbild (sofern von dir hochgeladen, gespeichert in Supabase Storage)
• Deinen Stil-/Persona-Text (sofern von dir eingetragen, im Profil gespeichert)
• Nutzungsstatistiken (Analysen pro Monat zur Plan-Limit-Prüfung)
• Plan-Status, Stripe-Kunden-ID, Abo-ID (aus dem Stripe-Webhook)

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

3.4 Gespeicherte API-Keys (Apify und Anthropic)

Für die Nutzung des Dashboards hinterlegst du eigene API-Keys für Apify (Scraping öffentlicher Profildaten) und Anthropic Claude (KI-Generierungen). Diese Keys werden in unserer Datenbank (Supabase) gespeichert.

• Zweck: ausschließlich die Durchführung der von dir ausgelösten Analysen und KI-Generierungen
• Zugriff: beschränkt auf dein Nutzerkonto durch Supabase Row-Level-Security; andere Nutzer haben keinen Zugriff
• Verschlüsselung: die Datenbank ist durch Supabase-seitige Verschlüsselung at-rest geschützt. Zusätzlich werden deine API-Keys vor dem Speichern einzeln verschlüsselt (AES-256-GCM, Verschlüsselung auf Feldebene). Selbst wer die Datenbank einsehen könnte, sähe nur den verschlüsselten Wert; entschlüsselt wird ausschließlich im Moment einer von dir ausgelösten Analyse oder KI-Generierung.
• Weitergabe: die Keys werden nicht an Dritte weitergegeben; sie werden ausschließlich genutzt, um im Rahmen deiner Analyse-Anfragen die API der jeweiligen Anbieter (Apify bzw. Anthropic) aufzurufen
• Löschung: du kannst deine API-Keys jederzeit selbst im Dashboard entfernen; bei Kontolöschung werden sie gelöscht

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

3.5 Öffentliche Profildaten Dritter (Art. 14 DSGVO)

Im Rahmen der Analyse-Funktion werden von dir eingegebene Account-Namen verwendet, um öffentlich zugängliche Profilseiten dieser Accounts abzurufen. Diese Daten stammen von öffentlich einsehbaren Profilen auf Instagram, TikTok, YouTube, LinkedIn und Facebookund werden nicht aus nichtöffentlichen Quellen bezogen.

• Quelle: öffentlich zugängliche Profile auf Instagram, TikTok, YouTube, LinkedIn und Facebook (vom Nutzer eingegebene Account-Namen)
• Datenkategorien: Profilname, Profilbild (öffentlich), Bio, öffentliche Beiträge und Videos, Captions, öffentlich sichtbare Metriken (Follower-Anzahl, Engagement-Daten soweit öffentlich)
• Zweck: Content-Recherche, Analyse von Hooks und Inhaltsmustern, Grundlage für KI-Generierungen
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Erbringung der vertraglich geschuldeten Analyse-Dienstleistung)
• Keine privaten Daten: es werden ausschließlich öffentlich zugängliche Daten verarbeitet; private Accounts, Direktnachrichten oder nicht-öffentliche Inhalte werden nicht abgerufen
• Speicherung: analysierte Profildaten werden nur so lange gespeichert, wie du sie aktiv in deinem Account hältst. Dazu gehört ein Verlauf früherer Analysen (Momentaufnahmen der Follower-Zahl und der Beitrags-Kennzahlen), der Entwicklungen über die Zeit sichtbar macht. Profilbilder liegen in einem nicht öffentlichen Speicher und werden nur dir im Dashboard angezeigt, über Adressen, die nach 24 Stunden verfallen. Einzelne Momentaufnahmen werden spätestens 12 Monate nach ihrer Erstellung automatisch gelöscht. Entfernst du einen Account, werden seine Daten einschließlich dieses Verlaufs sofort gelöscht.
• Automatische Aktualisierung: nur wenn du die tägliche Auto-Analyse in den Einstellungen aktivierst, werden diese öffentlichen Daten einmal täglich automatisch neu abgerufen; standardmäßig ist sie ausgeschaltet

Personen, deren öffentliche Profile im Rahmen deiner Nutzung analysiert werden, können ihr Recht auf Auskunft, Widerspruch oder Löschung gegenüber dem Verantwortlichen (Abschnitt 2) geltend machen.

3.6 Serverlogs (Vercel)

Beim Aufruf der Anwendung verarbeitet unser Hosting-Anbieter Vercel automatisch technische Zugriffsdaten: IP-Adresse, Datum und Uhrzeit des Zugriffs, Browser- und Geräteinformationen, Referrer-URL, angeforderte URL und HTTP-Status-Code. Zweck: sichere Bereitstellung, Fehleranalyse, Missbrauchsprävention, Systembetrieb. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Speicherdauer Serverlogs: Logs werden grundsätzlich nur so lange gespeichert, wie dies für Sicherheit, Fehleranalyse und Missbrauchsprävention erforderlich ist.

3.6a Verbindung mit Claude (optional)

Du kannst das Dashboard mit Claude (Anthropic) verbinden, um deine Research-Daten direkt dort abzufragen. Dafür erzeugst du in deinem Profil einen Verbindungsschlüssel und hinterlegst ihn in deinem eigenen Claude-Zugang. Die Verbindung ist freiwillig und standardmäßig nicht eingerichtet.

• Gespeichert bei uns: ausschließlich ein nicht umkehrbarer Hash-Wert des Schlüssels, der Zeitpunkt der Erstellung und der letzten Nutzung. Den Schlüssel selbst speichern wir nicht; er wird dir nur einmal angezeigt.
• Übermittelt an Claude: nur die Daten, die du in deiner Claude-Sitzung abfragst — etwa deine analysierten Accounts, Hooks oder gespeicherten Inhalte. Schreibt Claude Texte für dich, ruft es dafür auch deinen hinterlegten Stil („Mein Stil“) ab. Die Verarbeitung durch Anthropic erfolgt in deinem eigenen Claude-Zugang nach den Datenschutzbestimmungen von Anthropic.
• Widerruf: du kannst jeden Schlüssel jederzeit im Profil widerrufen; danach ist kein Zugriff mehr möglich.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

3.6b Wünsche & Feedback (optional)

Über „Wunsch & Feedback“ kannst du uns Wünsche, Anregungen und Fehler schicken. Gespeichert werden dein Text, die gewählte Art, deine Nutzer-ID und E-Mail-Adresse, dein Plan (inkl. ob die Testwoche läuft), der geöffnete Bereich und die Plattform sowie der Zeitpunkt; bei „Etwas funktioniert nicht“ zusätzlich dein Browser (User-Agent). Die Angaben sehen nur wir; sie dienen dazu, das Board zu verbessern. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Speicherdauer: 12 Monate ab Eingang, mit Löschung deines Kontos auch früher.

3.7 Zahlung (Stripe)

Zahlungen werden über Stripe Payments Europe Ltd. abgewickelt. Stripe verarbeitet im Rahmen des Checkout-Vorgangs Zahlungs-, Rechnungs-, Kontakt-, Transaktions- und technische Daten eigenverantwortlich nach seinen eigenen Datenschutzbestimmungen. Von Stripe erhalten und speichern wir: Zahlungs-/Abo-Status, Stripe-Kunden-ID, Abo-ID, gewählten Plan sowie ggf. deinen Namen und deine E-Mail-Adresse zur Zuordnung deines Zugangs. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

4.1 Hosting (Netlify)

Die Landingpage wird über Netlify bereitgestellt. Beim Aufruf verarbeitet Netlify automatisch technische Zugriffsdaten (IP-Adresse, Zeitpunkt, Browser-/Geräteinformationen, Referrer, angeforderte URL). Zweck: Auslieferung der Seite, Sicherheit, Serverlogs. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

4.2 Meta Pixel / Tracking

Auf ensregina.de ist das Meta-Pixel eingebunden. Dabei kann Meta (Meta Platforms Ireland Ltd.) beim Seitenaufruf Daten über dein Nutzungsverhalten erfassen und für Zwecke des Conversion-Trackings und der personalisierten Werbung verarbeiten. Meta handelt insoweit als eigenständig Verantwortlicher nach seinen eigenen Datenschutzbestimmungen. Das Setzen des Pixels und damit verbundener Cookies und vergleichbarer Technologien ist nicht technisch notwendig.

Rechtsgrundlage (nach Implementierung der Einwilligung): Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG. Drittlandtransfer in die USA möglich (siehe Abschnitt 9). Datenschutzerklärung Meta: facebook.com/privacy

4.3 Instagram und automatisierte Nachrichten (ManyChat)

Der Funnel kann über Instagram gestartet werden, z. B. durch Kommentare oder Direktnachrichten mit Schlüsselwörtern. Zur automatisierten Beantwortung und Weiterleitung wird ManyChat (ManyChat, Inc.) eingesetzt. Dabei können Instagram-Profilname, Nachrichtentext, Zeitpunkt sowie Interaktionsdaten verarbeitet werden. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Kommunikation und Interessentenbetreuung). Es gelten zusätzlich die Datenschutzbestimmungen von ManyChat und die Nutzungsbedingungen von Instagram/Meta.

4.4 Formulare, Opt-in und Leadmagnet (GoHighLevel)

Für Formulare, Opt-ins und Marketing-Automation setzen wir GoHighLevel (HighLevel Inc.) ein. Trägst du dich in ein Formular ein, verarbeiten wir die angegebenen Daten, um den angeforderten Inhalt bereitzustellen und – sofern du eingewilligt hast – weitere Informationen zu ähnlichen Angeboten zu senden.

• Datenkategorien: Name, E-Mail-Adresse, ggf. Telefonnummer, Formularangaben, Opt-in-Zeitpunkt, technische Metadaten
• Rechtsgrundlage E-Mail-Marketing: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung)
• Rechtsgrundlage Vertragsanbahnung: Art. 6 Abs. 1 lit. b DSGVO
• Rechtsgrundlage Sicherheit/Opt-in-Nachweis: Art. 6 Abs. 1 lit. f DSGVO

4.5 E-Mail-Kommunikation und Widerruf

Eine erteilte Einwilligung in den Erhalt von E-Mail-Kommunikation kannst du jederzeit mit Wirkung für die Zukunft widerrufen — per Abmeldelink in der jeweiligen E-Mail oder formlos an realrise@ensregina.de. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

• Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung und vorvertragliche Maßnahmen (Account, Login, Dashboard-Bereitstellung, Zahlung)
• Art. 6 Abs. 1 lit. c DSGVO — Rechtliche Verpflichtung (steuer- und handelsrechtliche Aufbewahrungspflichten)
• Art. 6 Abs. 1 lit. f DSGVO — Berechtigtes Interesse (technische Sicherheit, Serverlogs, Missbrauchsprävention, Analyse öffentlicher Drittdaten)
• Art. 6 Abs. 1 lit. a DSGVO — Einwilligung (E-Mail-Marketing, nicht-notwendige Cookies/Tracking auf dem Funnel)

Soweit diese Anbieter personenbezogene Daten in unserem Auftrag verarbeiten, schließen wir mit ihnen Auftragsverarbeitungsverträge nach Art. 28 DSGVO ab. Anbieter, die als eigenständig Verantwortliche agieren (insbesondere Stripe für Zahlungsdaten, Meta für Tracking-Daten, Google für Account-Daten), sind in der obigen Liste entsprechend gekennzeichnet.

Das Dashboard verwendet ein „Bring Your Own Key"-Modell (BYOK): Du hinterlegst eigene API-Keys für Apify und Anthropic in deinen Profil-Einstellungen. Wenn du eine Analyse oder KI-Generierung auslöst, ruft das Dashboard die jeweilige API unter Verwendung deines Keys auf.

Verarbeitungsverantwortlichkeit:

Da die Verarbeitung über deine persönlichen API-Keys und damit über deine eigenen Konten bei Apify bzw. Anthropic erfolgt, findet die Datenverarbeitung technisch im Rahmen dieser Anbieterkonten statt. Regina Ens ist Verantwortliche für die Übermittlung deiner Eingaben und der zu analysierenden Daten an die APIs; Apify und Anthropic verarbeiten diese Daten nach ihren eigenen Datenschutzbestimmungen. Eine pauschale Einstufung als Auftragsverarbeiter nach Art. 28 DSGVO ist nicht in jedem Fall zutreffend.

Welche Daten übermittelt werden:

• An Apify: von dir eingegebene Account-Namen (zur Ausführung des Scraping-Actors); keine Daten aus deinem persönlichen Profil
• An Anthropic Claude: Analyse-Prompts, öffentliche Profildaten (Captions, Bio, Hooks) sowie dein hinterlegter Stiltext, soweit du dies aktiviert hast

Datenschutzhinweise der Anbieter:

• Anthropic — Datenschutzerklärung (Sitz: USA; Drittlandtransfer möglich, EU-SCCs)
• Apify — Datenschutzerklärung (Sitz: Tschechien / EU; Serverstandorte ggf. USA)

Dashboard (app.ensregina.de):

Wir verwenden im Dashboard ausschließlich technisch notwendige Cookies für die Login-Session (Supabase Auth). Wir setzen kein Analytics-Tracking, keine Werbe-Cookies und keine Drittanbieter-Tracker ein (kein Meta Pixel, kein Google Analytics, kein Vercel Analytics).

Funnel (ensregina.de) — eingesetzte Technologien:

Nicht-notwendige Cookies und vergleichbare Technologien (insbesondere Meta Pixel) dürfen gemäß § 25 Abs. 1 TDDDG nur nach vorheriger, informierter Einwilligung eingesetzt werden.

Mehrere der von uns eingesetzten Dienstleister haben ihren Sitz in den USA oder verarbeiten Daten dort. Für Übermittlungen in die USA bestehen folgende Garantien:

• EU-U.S. Data Privacy Framework (DPF): Für Anbieter, die im DPF zertifiziert sind (u. a. Google, Vercel, Stripe, Meta), besteht ein Angemessenheitsbeschluss der EU-Kommission als Übermittlungsgrundlage. Der aktuelle Zertifizierungsstatus ist unter dataprivacyframework.gov abrufbar.
• EU-Standardvertragsklauseln (SCCs): Soweit kein DPF-Angemessenheitsbeschluss greift, erfolgen Übermittlungen auf Grundlage der EU-Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO. Voraussetzung ist ein entsprechender AVV/DPA mit dem Anbieter.
• Vereinigtes Königreich: Die Datenbank des Dashboards liegt bei Supabase in London (Vereinigtes Königreich). Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission nach Art. 45 DSGVO; eine Übermittlung dorthin ist ohne zusätzliche Garantien zulässig.

• Accountdaten: solange dein Konto besteht; nach Kontolöschung innerhalb von 30 Tagen gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen
• Login-/Magic-Link: der Link ist 1 Stunde gültig; die Session bis zum Logout oder Ablauf
• API-Keys: bis zur Löschung durch dich oder bis zur Kontolöschung
• Öffentliche Profildaten (analysiert): so lange du den Account in deinem Dashboard aktiviert hast; nach Entfernung sofort gelöscht
• Verlauf (Momentaufnahmen): automatisch gelöscht spätestens 12 Monate nach Erstellung; bei Entfernung des Accounts sofort
• Gespeicherte Hooks/Generierungen: je nach Plan (Starter/Creator: 30 Tage, Creator Pro: unbegrenzt)
• Wünsche & Feedback: automatisch gelöscht 12 Monate nach Eingang; mit Löschung des Kontos sofort
• Lead-/Opt-in-Daten (Funnel): bis zum Widerruf der Einwilligung oder bis zum Ende des verfolgten Zwecks
• Zahlungs-/Rechnungsdaten: gemäß gesetzlichen Aufbewahrungsfristen (handels-/steuerrechtlich i.d.R. 6–10 Jahre)
• Serverlogs (Vercel/Netlify): grundsätzlich nur so lange wie für Sicherheit und Fehleranalyse erforderlich.

Du hast jederzeit das Recht auf:

• Auskunft über die zu deiner Person gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung deiner Daten (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Basis berechtigter Interessen (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
• Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO)

Zur Ausübung dieser Rechte: realrise@ensregina.de

Die Datenübertragung zwischen deinem Browser und unserer Anwendung erfolgt verschlüsselt über HTTPS/TLS. Der Zugriff auf deine Daten in der Datenbank ist durch Supabase Row-Level-Security (RLS) streng auf dein Nutzerkonto beschränkt — andere Nutzer können deine Daten nicht einsehen. API-Keys sind durch RLS geschützt und zusätzlich auf Feldebene verschlüsselt (AES-256-GCM).

Thüringer Landesbeauftragter für den Datenschutz und die Informationsfreiheit (TLfDI), Erfurt.
www.tlfdi.de

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um Änderungen unseres Dienstes oder der Rechtslage zu berücksichtigen. Die jeweils aktuelle Version ist auf dieser Seite einsehbar. Bei wesentlichen Änderungen informieren wir registrierte Nutzer soweit möglich per E-Mail.